Grossi buchi in un diffuso server DHCP

Il CERT avverte della presenza, in una nota e diffusa implementazione del protocollo DHCP, di alcune vulnerabilità che potrebbero compromettere la sicurezza dei server su cui gira il software

Roma - L'ultimo bollettino di sicurezza rilasciato dal CERT avverte dell'esistenza di alcune gravi vulnerabilità di sicurezza che affliggono il software ISC DHCPS, un'implementazione del Dynamic Host Configuration Protocol (DHCP) sviluppata dall'Internet Software Consortium (ISC).

In una revisione interna, l'ISC ha infatti scoperto che nel codice della versione 3.0 fino alla 3.0.1RC10 del suo demone DHCP si annidano diversi e pericolosi bug di tipo buffer overflow. Le falle risiedono in una funzionalità che consente al server DHCP di aggiornare automaticamente un server DNS.

Secondo quanto riportato dal CERT, un aggressore potrebbe sfruttare la falla inviando messaggi DHCP contenenti nomi di host troppo lunghi ad un server vulnerabile: se l'attacco ha successo, il cracker è in grado di eseguire comandi a sua scelta con gli stessi privilegi dell'utente sotto cui gira il demone DHCP.
Il software di ISC si torva integrato in molti prodotti, fra cui le distribuzioni Linux di Red Hat e SuSE: la prima ha già rilasciato una patch, mentre la seconda dovrebbe farlo nelle prossime ore.

ISC, che fornisce anche il noto server DNS BIND, ha già provveduto a tappare le falle del proprio software e a rilasciare versioni corrette qui.
TAG: sicurezza
18 Commenti alla Notizia Grossi buchi in un diffuso server DHCP
Ordina
  • come fa un povero diavolo a stare dietro a tutti i bachi dell'open source, mica possono dedicarsi tutti ESCLUSIVAMENTE alla sicurezza del sistema!
    Con MS ti colleghi a windowsupdate, lui ti guarda cosa c'è da mettere a posto, e lo fa.... e scusate se è poco!
    non+autenticato

  • - Scritto da: Anonimo
    > come fa un povero diavolo a stare dietro a
    > tutti i bachi dell'open source, mica possono
    > dedicarsi tutti ESCLUSIVAMENTE alla
    > sicurezza del sistema!
    > Con MS ti colleghi a windowsupdate, lui ti
    > guarda cosa c'è da mettere a posto, e lo
    > fa.... e scusate se è poco!

    #apt-get install update (con debian)
    Per RedHat c'è red carpet
    Per Mandrake urpmi

    scusa se è poco!

    saluti
    non+autenticato

  • - Scritto da: Anonimo
    > come fa un povero diavolo a stare dietro a
    > tutti i bachi dell'open source, mica possono
    > dedicarsi tutti ESCLUSIVAMENTE alla
    > sicurezza del sistema!
    > Con MS ti colleghi a windowsupdate, lui ti
    > guarda cosa c'è da mettere a posto, e lo
    > fa.... e scusate se è poco!

    Anche con debian e gli aggiornamenti della sicurezza. Se tu non le sai queste cose perchè parli a vanvera? In particolare iscrivendosi alla mailing list sulla sicurezza debian ti arriva anche una e-mail che ti avvisa di aggiornare il tuo sistema (a me è arrivata oggi quella riguardante questo problema).

    L'aggiornamento è completamente automatico, e tutta questa infrastruttura è completamente gratuita.

    E scusa se è poco :===))))))

    X
    non+autenticato
  • ...che il server DHCP M$ va bene dalla versione NT 4.0.

    Per il resto: no comment.....
    non+autenticato
  • Opensource=
    TrovatoBaco -> (implica) RilascioImmediatoPatch
  • guarda che le patch le rilascia subito anche MS

    i solito Trolloni sacerdoti di Linux
    che dominano su Punto Informatico

    i buchi MS sono uno scandalo
    i buchi opensource no, anzi
    è scandaloso commentarne l'aaparizione.

    Mi immagino se fosse stato un baco MS
    "aaah software di m... che schifo..."
    non+autenticato

  • - Scritto da: Anonimo
    > guarda che le patch le rilascia subito anche
    > MS

    le rilascia *subito* a chi?
    Mi fai un esempio concreto e documentato? grazie.



    non+autenticato

  • - Scritto da: Anonimo
    > guarda che le patch le rilascia subito anche
    > MS
    >

    Stiamo ancora ridendo tutti... quindi i vari worm che girano per anni prima che la microsoft renda pubblica la vulnerabilità (per poi rilasciare solo mesi dopo mega e mega di patch), sono solo fantasie personali...

    > i buchi MS sono uno scandalo
    > i buchi opensource no, anzi
    > è scandaloso commentarne l'aaparizione.

    E' bello che vengano corretti! Il resto è aria fritta

    >
    > Mi immagino se fosse stato un baco MS
    > "aaah software di m... che schifo..."

    Ti immagini anche i buchi di iis e del server ftp di nt5? No perchè la pirateria non vive mica di server unix .... PUAH!!!

    non+autenticato
  • che il debug lo fai tu, e per questo che in genere le patch dei pochi sw open che abbiamo (e che stiamo eliminando pian piano) in genere vengono applicate solo dopo vari mesi visto i casini che abbiamo avuto in varie riprese (servizio mail bloccato per giorni mail perse ecc...).

    come si suol dire si fa presto a dire open e si fa presto a paccare un problema, quello che prende più tempo e verificare che la modifica in alcuni casi faccia più danni che altro.

    ovviamente spiegare ciò al solito openaro da universita che non deve tener su un servizio affidabile (dove il capo se non metti a posto ti manda a spigare) e molto difficile.

    non+autenticato
  • > ovviamente spiegare ciò al solito openaro da
    > universita che non deve tener su un servizio
    > affidabile (dove il capo se non metti a
    > posto ti manda a spigare) e molto difficile.

    Guarda, che se hai il codice sorgente da editare e compilare, puoi veramente essere tu a "mettere a posto"

  • > Guarda, che se hai il codice sorgente da
    > editare e compilare, puoi veramente essere
    > tu a "mettere a posto"

    Tanto che vuoi che sia saranno quelle centinaia di migliaia di righe di codice scritte da N programmatori senza una qualsiasi forma di standardizzazione....
    non+autenticato

  • - Scritto da: Anonimo
    >
    > > Guarda, che se hai il codice sorgente da
    > > editare e compilare, puoi veramente essere
    > > tu a "mettere a posto"
    >
    > Tanto che vuoi che sia saranno quelle
    > centinaia di migliaia di righe di codice
    > scritte da N programmatori senza una
    > qualsiasi forma di standardizzazione....

    Cosa? Windows?

    No, perchè il codice sorgente manco di XP ma di 98 io l'ho visto. Sono 11 cd. Per il solo kernel+interfaccia grafica.

    Non mi sembra che da questo primo dato emerga una qualche forma di ordine...
    non+autenticato



  • TU HAI VISTO IL SORGENTE DI WIN? AH... AH...
    non+autenticato

  • - Scritto da: Anonimo
    > Cosa? Windows?
    >
    > No, perchè il codice sorgente manco di XP ma
    > di 98 io l'ho visto.

    Ma se è uno dei segreti industriali più coperti del mondo... a stento i giudici dell'antitrust hanno potuto darci un'occhiata...


    non+autenticato

  • >
    > ovviamente spiegare ciò al solito openaro da
    > universita che non deve tener su un servizio
    > affidabile (dove il capo se non metti a
    > posto ti manda a spigare) e molto difficile.
    >

    Quindi non esistono server opensource tenuti su e affidabili? A me pare che esistanoSorride Ed esistono anche i capi degli amministratori di server open source, e se non metti a posto ti mandano a spigare ugualeSorride

    Tra l'altro, visto che parli di "TENERE SU I SERVIZI", mi spieghi come mai oggi la debian mi ha mandato la patch e si aggiorna senza riavviare il sistema, mentre con windows update devi riavviare il sistema (alla faccia dell'uptime)?

    No, perchè sai sono curioso...

    Ah, una nota: la patch che fa più danni di quelli che procura è una tipica cosa M$, infatti sono famose le patch per i service pack. Nel mondo open non è mai servito nulla di simile.

    PUAH!
    non+autenticato